EIDCA-005: Grupos no protegidos en exclusiones de acceso condicional
- Plataforma
- Entra ID / M365
- Categoría
- Entra ID Conditional Access
- Severidad
- High
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Los grupos usados en exclusiones de acceso condicional que carecen de propietario, revisiones de pertenencia o restricciones de acceso pueden ser aprovechados por atacantes para eludir las directivas de seguridad. Un atacante que se añada a un grupo de exclusión no protegido elude de forma efectiva todos los controles de acceso condicional dirigidos a ese grupo.
Valor recomendado
Todos los grupos de exclusión de acceso condicional tienen propietarios asignados, gestión de pertenencia restringida y revisiones de acceso periódicas habilitadas
Remediación
Identifique todos los grupos referenciados en las exclusiones de directivas de acceso condicional y verifique que cada grupo tenga un propietario asignado, configuración restringida de unión y abandono, y una programación de revisión de acceso activa. Habilite las funciones de Grupos de acceso privilegiado o restrinja los cambios de pertenencia a grupos únicamente a los administradores autorizados. Elimine de inmediato de las exclusiones de acceso condicional cualquier grupo no gestionado o huérfano.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6(1), AC-6(5)
- MITRE ATT&CK
- T1078.004